NIS2 w Polsce: kogo obejmuje, terminy ustawy o KSC i wdrożenie

Kompleksowy przewodnik, który pomoże zrozumieć NIS2, wdrożyć jej wymagania i wykorzystać je w organizacji działającej w Polsce.

1. Wprowadzenie: czym jest NIS2 i dlaczego ma znaczenie dla Twojej firmy?

Wyobraź sobie, że prowadzisz firmę w Polsce. Masz klientów, dostawców, pracowników, systemy IT, dane finansowe i zapewne kilka platform technologicznych, bez których biznes nie może funkcjonować.

A teraz wyobraź sobie, że jutro dochodzi do cyberataku, w wyniku którego:

• Systemy przestają działać na kilka dni.
• Pracownicy tracą dostęp do informacji potrzebnych do pracy.
• Dane klientów wyciekają.
• Dostawcy nie mogą się z Tobą skontaktować.
• Firma traci przychody, mierzy się z roszczeniami i musi wyjaśniać organom, jak doszło do incydentu.

NIS2 powstała właśnie po to, by zmniejszyć prawdopodobieństwo i skutki takich sytuacji.

Dyrektywa NIS2 (Network and Information Security Directive 2) to unijny akt prawny, którego celem jest podniesienie poziomu cyberbezpieczeństwa organizacji świadczących usługi istotne dla gospodarki, społeczeństwa i funkcjonowania państw członkowskich.

Nie chodzi w niej wyłącznie o to, żeby zainstalować program antywirusowy, kupić firewall czy wdrożyć kolejne narzędzia IT.

Chodzi o to, by organizacja potrafiła:

1. Rozpoznać ryzyka technologiczne, które mogą zakłócić jej działalność.
2. Zapobiegać incydentom dzięki odpowiednim zabezpieczeniom.
3. Wykrywać ataki i reagować na nie na czas.
4. Utrzymać lub przywrócić świadczenie usług, gdy pojawi się problem.
5. Wykazać, że w sposób odpowiedzialny zarządza bezpieczeństwem informacji.

Najważniejsza zmiana polega na tym, że cyberbezpieczeństwo przestaje być wyłącznie sprawą działu IT, a staje się odpowiedzialnością całej organizacji.

Dotyczy to zarządu, osób odpowiedzialnych za technologię, prawników, księgowych, kadr i – w różnym stopniu – wszystkich pracowników.

Czy NIS2 obowiązuje już w Polsce?

Tak. Polska wdrożyła NIS2 nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa, czyli tzw. ustawy o KSC.

Nowelizację uchwalono 23 stycznia 2026 r., opublikowano 2 marca 2026 r., a weszła w życie 3 kwietnia 2026 r.

Została ogłoszona w Dz.U. 2026 poz. 252.

Prezydent podpisał ustawę 19 lutego 2026 r. i zapowiedział skierowanie części jej przepisów, w tym systemu kar, do Trybunału Konstytucyjnego w trybie kontroli następczej. Kontrola ta nie wstrzymuje obowiązywania ustawy.

Nie jest to więc projekt ani przepisy czekające na uchwalenie: ustawa obowiązuje, a wiele organizacji jest w trakcie dostosowywania się do niej.

Najważniejsze terminy

Powyższe daty wynikają z oficjalnego harmonogramu, ale w zależności od kategorii podmiotu, momentu, w którym znalazł się w zakresie regulacji, i jego wcześniejszego statusu obowiązują szczególne zasady.

Uwaga: podstawowy termin na rejestrację upłynął 3 października 2026 r. Jeśli Twoja organizacja miała obowiązek złożyć wniosek o wpis, a jeszcze tego nie zrobiła, trzeba niezwłocznie zweryfikować jej klasyfikację i uregulować sytuację. Ogólny okres dostosowawczy do kwietnia 2027 r. nie oznacza automatycznego przedłużenia terminu rejestracji.

2. Które firmy w Polsce muszą spełnić wymagania NIS2?

Jedno z pierwszych pytań, jakie się nasuwa, brzmi:

Czy moja firma naprawdę musi wdrożyć NIS2?

Odpowiedź zależy od trzech podstawowych czynników:

• Sektora, w którym działasz.
• Wielkości i charakteru organizacji.
• Znaczenia usług, które świadczysz.

Polskie przepisy wyróżniają dwie kategorie podmiotów.

Podmioty kluczowe

To organizacje, których działalność ma szczególne znaczenie dla funkcjonowania państwa, jego podstawowych usług lub infrastruktury.

Należą do nich na przykład niektóre przedsiębiorstwa energetyczne, instytucje finansowe, operatorzy infrastruktury cyfrowej i podmioty ochrony zdrowia.

Obowiązują je surowsze wymagania w zakresie bezpieczeństwa, nadzoru i audytu.

Podmioty ważne

To organizacje, w których incydent również może wywołać poważne skutki, choć ich klasyfikacja i reżim nadzoru są inne.

Należą do nich na przykład niektórzy producenci, przedsiębiorstwa z sektora produkcji i dystrybucji żywności, operatorzy pocztowi i dostawcy usług cyfrowych.

Obie kategorie mają obowiązki w zakresie cyberbezpieczeństwa. Status podmiotu ważnego nie zwalnia z wdrożenia zabezpieczeń – wpływa przede wszystkim na sposób nadzoru i na niektóre obowiązki audytowe.

Sektory objęte przepisami

Tabela jest uproszczeniem. Załączniki nr 1 i 2 do ustawy o KSC wskazują konkretne rodzaje działalności i typy podmiotów – nie każda firma z danego sektora jest automatycznie objęta przepisami.

Czy liczy się wielkość firmy?

Tak, choć nie jest to jedyne kryterium.

Co do zasady przepisy odwołują się do unijnej definicji wielkości przedsiębiorstwa, która uwzględnia liczbę pracowników, obroty, sumę bilansową, a w niektórych przypadkach także przedsiębiorstwa powiązane lub partnerskie.

Orientacyjnie:

Tej tabeli nie należy traktować jako ostatecznego rozstrzygnięcia o klasyfikacji. Polska ustawa o KSC przewiduje istotne wyjątki.

Na przykład dostawcy usług DNS, rejestry nazw domen najwyższego poziomu (TLD), podmioty świadczące usługi rejestracji nazw domen oraz kwalifikowani dostawcy usług zaufania są podmiotami kluczowymi niezależnie od wielkości (art. 5 ust. 1 pkt 4 ustawy o KSC). Szczególne zasady obejmują też dostawców usług zarządzanych w zakresie bezpieczeństwa, dostawców usług komunikacji elektronicznej oraz niektóre podmioty publiczne.

Klasyfikacja może ponadto zależeć od powiązań z innymi przedsiębiorstwami.

A co z małą firmą technologiczną?

Załóżmy, że Twoja firma świadczy usługi hostingu stron, administrowania serwerami, kopii zapasowych i cyberbezpieczeństwa.

Nie można przyjąć, że jest automatycznie wyłączona z przepisów tylko dlatego, że zatrudnia pięć osób.

Trzeba sprawdzić, czy jej działalność mieści się w kategoriach prawnych takich jak:

• Dostawca usług zarządzanych (MSP, Managed Service Provider): podmiot, który zarządza systemami, sieciami, aplikacjami lub infrastrukturą IT innych firm.
• Dostawca usług zarządzanych w zakresie bezpieczeństwa (MSSP, Managed Security Service Provider): podmiot, który zarządza usługami z obszaru cyberbezpieczeństwa na rzecz innych firm.
• Dostawca usług chmurowych: podmiot świadczący usługi przetwarzania w chmurze (cloud computing).
• Dostawca usług DNS: podmiot świadczący usługi systemu nazw domen.

Kategorie te mogą być traktowane różnie. Polska ustawa wprost uwzględnia na przykład dostawców usług zarządzanych w zakresie bezpieczeństwa w szczególnych zasadach klasyfikacji.

Trzeba też odróżnić odsprzedaż usługi, aktywne zarządzanie infrastrukturą klienta i utrzymywanie własnej infrastruktury. Nie zawsze jest to ta sama działalność regulowana.

Wniosek: zanim zlecisz jakiekolwiek wdrożenie NIS2, musisz formalnie ustalić, czy Twoja firma podlega przepisom, z tytułu jakiej działalności i w jakiej kategorii.

A. NIS2 z perspektywy właściciela firmy

3. Co oznacza wdrożenie NIS2 w Twojej firmie?

Z biznesowego punktu widzenia wdrożenie NIS2 oznacza zbudowanie uporządkowanego systemu, który pozwala rozpoznawać ryzyka IT mogące zatrzymać działalność firmy, zapobiegać im, zarządzać nimi i je ograniczać.

Nie sprowadza się to do zakupu technologii.

Organizacja może wydać na bezpieczeństwo IT sporo pieniędzy i nadal nie spełniać wymagań, jeśli brakuje jej polityk, przypisanych ról, procedur lub dowodów, że zabezpieczenia działają.

Przykład z praktyki

Wyobraź sobie, że zarządzasz firmą zajmującą się dystrybucją żywności.

Masz magazyny, pracowników, systemy do obsługi stanów magazynowych, zamówień i fakturowania.

Infrastruktura IT może być utrzymywana na serwerach zewnętrznego dostawcy.

Atak ransomware blokuje system magazynowy i sprzedaż na trzy dni.

Bez strategii bezpieczeństwa prawdopodobnie nie wiesz:

• Których systemów dotyczy atak.
• Czy kopie zapasowe działają.
• Kto zatwierdza odtworzenie systemów.
• Których dostawców trzeba zaangażować.
• Które organy należy poinformować.
• Ile czasu zajmie przywrócenie działalności.

Po właściwym wdrożeniu firma ma procedury, które ograniczają tę niepewność.

Wie, które systemy są kluczowe, kto za co odpowiada, jakie są procedury awaryjne, jak pracować w trybie zastępczym i jak przywrócić usługi.

NIS2 nie wymaga gwarancji, że incydent nigdy się nie wydarzy. Wymaga, by firma była w stanie go przetrwać i szybko wrócić do normalnej pracy.

4. Co tak naprawdę trzeba wdrożyć?

Ustawa o KSC wymaga, by podmioty objęte przepisami wdrożyły system zarządzania bezpieczeństwem informacji, czyli SZBI.

To zestaw polityk, procesów, ról, zabezpieczeń i dowodów, który pozwala w sposób ciągły zarządzać ryzykami bezpieczeństwa.

Najważniejsze elementy można opisać tak:

Elementy te odzwierciedlają obowiązki w zakresie zarządzania ryzykiem wynikające z ustawy o KSC, przede wszystkim z art. 8.

Czy wszystko trzeba budować od zera?

Niekoniecznie.

Jeśli korzystasz już z Microsoft 365, Google Workspace, systemu ERP, hostingu zarządzanego lub profesjonalnych rozwiązań bezpieczeństwa, część potrzebnych funkcji prawdopodobnie już masz.

Trzeba jednak sprawdzić:

Po pierwsze, czy obecne narzędzia zapewniają wymagany poziom bezpieczeństwa.

Po drugie, czy są prawidłowo skonfigurowane.

Po trzecie, czy istnieją polityki i procedury korzystania z nich.

Po czwarte, czy potrafisz wykazać, że te procedury są przestrzegane.

Samo posiadanie kopii zapasowych nie dowodzi na przykład, że da się przywrócić działalność. Trzeba sprawdzić, czy odtwarzanie działa, i określić, jak długo firma może funkcjonować bez danej usługi.

5. Jakie korzyści biznesowe daje wdrożenie?

Choć wdrożenie wynika z obowiązku regulacyjnego, korzyści mogą wykraczać daleko poza formalną zgodność.

Mniejsze ryzyko operacyjne

Mniejsza podatność na ataki, błędy ludzkie, utratę danych i przestoje.

Ochrona przychodów

Jeśli Twoje usługi zależą od systemów cyfrowych, każdy przestój może oznaczać straty finansowe.

Strategia ciągłości działania pozwala skrócić czas trwania takich przerw i ograniczyć ich skutki finansowe.

Większe zaufanie kontrahentów

Duże organizacje, zamawiając usługi technologiczne, logistyczne czy przemysłowe, muszą rozumieć ryzyka związane ze swoimi dostawcami.

Udokumentowane zabezpieczenia ułatwiają im ocenę dostawcy.

Lepsze warunki do rozwoju

Firma, która ma określone procedury, uporządkowane uprawnienia, udokumentowaną infrastrukturę i weryfikowalne zabezpieczenia, jest zwykle lepiej przygotowana do wzrostu bez chaotycznego mnożenia ryzyk.

Mniejsza zależność od konkretnych osób

W wielu organizacjach tylko jedna osoba zna hasła, serwery czy kluczowe procedury.

NIS2 wymusza mechanizmy, które ograniczają tę zależność: dokumentację, przypisane role i ciągłość działania.

6. Ile kosztuje wdrożenie NIS2?

Nie ma jednej oficjalnej stawki za wdrożenie NIS2.

Budżet zależy od charakteru organizacji i obecnego stanu jej zabezpieczeń.

Aby go oszacować, warto rozdzielić trzy obszary:

Firma ze scentralizowanymi systemami i dojrzałymi zabezpieczeniami może potrzebować głównie dokumentacji, korekt i zebrania dowodów.

Firma z przestarzałymi serwerami, współdzielonymi kontami, niepewnymi kopiami zapasowymi i bez procedur będzie potrzebowała znacznie większego projektu.

Zakres wdrożenia powinien wynikać z rzeczywistych ryzyk i obowiązków, a nie z liczby produktów, które ktoś chce Ci sprzedać.

B. NIS2 z perspektywy dyrektora ds. technologii

7. Co powinien ocenić CTO, CIO lub osoba odpowiedzialna za IT?

Załóżmy teraz, że odpowiadasz za technologię w firmie.

Zarząd informuje, że trzeba wdrożyć NIS2, i pyta, ile to będzie kosztować i ile potrwa.

Pierwszym krokiem nie powinien być wybór narzędzi.

Najpierw trzeba ustalić, czy organizacja jest w stanie spełnić obowiązki przy obecnej infrastrukturze, procesach i zespole.

To ocena wykonalności i analiza luk, często nazywana Gap Analysis.

8. Etap pierwszy: poznaj swoją infrastrukturę

Trzeba zidentyfikować komponenty technologiczne, od których zależą świadczone usługi.

Na przykład:

Efektem powinna być inwentaryzacja na tyle kompletna, by zrozumieć zależności kluczowych usług.

Przykład

Przychodnia korzysta z:

• Systemu medycznego działającego w chmurze.
• Bazy danych pacjentów.
• Systemu do fakturowania.
• Komputerów w rejestracji.
• Sieci bezprzewodowej dla personelu.
• Zewnętrznego dostawcy, który administruje infrastrukturą.

Każdy z tych elementów wiąże się z innym ryzykiem.

Brak dostępu do poczty przez trzydzieści minut może być do zaakceptowania, ale brak dostępu do dokumentacji medycznej przez kilka godzin może mieć poważne konsekwencje.

NIS2 wymaga uchwycenia tych różnic, aby zabezpieczenia były proporcjonalne.

9. Szacowanie ryzyka: serce wdrożenia

Nie wszystkie ryzyka są jednakowe.

Weźmy trzy sytuacje:

Celem nie jest wyeliminowanie absolutnie wszystkich ryzyk – to praktycznie niemożliwe.

Celem jest ich identyfikacja, ocena prawdopodobieństwa i wpływu, wdrożenie proporcjonalnych zabezpieczeń i udokumentowanie decyzji.

Trzeba też ustalić, kto może zaakceptować ryzyko szczątkowe.

W organizacji regulowanej taka decyzja nie powinna nieformalnie zapadać na poziomie administratora serwera.

10. Zalecane zabezpieczenia technologiczne

Poniższa tabela przekłada główne obszary bezpieczeństwa na znane technologie i praktyki.

Nie oznacza to, że każdy wymieniony produkt jest obowiązkowy. Decyzja powinna wynikać z szacowania ryzyka.

Na szczególną uwagę zasługują dwa pojęcia.

BCP (Business Continuity Plan): plan ciągłości działania, który opisuje, jak firma będzie funkcjonować w razie zakłóceń.

DRP (Disaster Recovery Plan): plan odtwarzania po awarii, który opisuje, jak przywrócić systemy IT po poważnym incydencie.

To nie są synonimy.

BCP koncentruje się na utrzymaniu działalności biznesowej, a DRP na odtworzeniu systemów, które ją wspierają.

Dwa ważne wskaźniki

RTO (Recovery Time Objective) określa maksymalny czas, w jakim chcesz przywrócić system po przerwie.

RPO (Recovery Point Objective) określa, ile danych – mierzonych upływem czasu – możesz stracić.

Załóżmy, że firma ustala dla systemu zamówień RTO na poziomie czterech godzin i RPO na poziomie jednej godziny.

Oznacza to, że projektuje odtwarzanie tak, by przywrócić usługę w ciągu czterech godzin i – docelowo – nie stracić danych z więcej niż jednej godziny.

To cele, które ustala sama organizacja, a nie uniwersalne wartości narzucone przez NIS2.

11. Czy NIS2 można wdrożyć z pomocą zewnętrznych dostawców?

Tak.

Nie trzeba budować wewnątrz firmy pełnego działu cyberbezpieczeństwa.

Polskie przepisy przewidują, że podmioty mogą powołać wewnętrzne struktury odpowiedzialne za cyberbezpieczeństwo albo powierzyć wykonywanie określonych zadań dostawcom usług zarządzanych w zakresie bezpieczeństwa.

Możliwe są więc różne modele:

• Model wewnętrzny: Twój zespół zarządza zabezpieczeniami, infrastrukturą i procedurami.
• Model zewnętrzny: zadania techniczne i z zakresu bezpieczeństwa wykonują zewnętrzni specjaliści.
• Model hybrydowy: nadzór, decyzje i kontrolę zachowujesz w firmie, a wybrane zadania operacyjne powierzasz na zewnątrz.

Dla wielu średnich organizacji model hybrydowy okazuje się praktyczny.

Jest jednak jedno kluczowe zastrzeżenie:

Outsourcing zadań technicznych nie zdejmuje z organizacji jej obowiązków ani odpowiedzialności prawnej.

Umowy powinny określać, za co odpowiada każdy dostawca, jak zgłasza incydenty, jakie dowody przekazuje, jak zarządza dostępami i jak przywraca usługi.

Ma to szczególne znaczenie, gdy dostawca działa spoza Polski.

Czy cyberbezpieczeństwem można zarządzać z innego kraju?

Co do zasady niektóre zadania techniczne mogą być wykonywane zdalnie z innego państwa członkowskiego lub spoza Unii Europejskiej, o ile przyjęty model spełnia obowiązujące wymagania.

Trzeba przeanalizować m.in. ochronę danych, dostęp do informacji wrażliwych, warunki umowne, dostępność w razie incydentu i ograniczenia sektorowe.

Nie ma ogólnej zasady, zgodnie z którą cały personel techniczny dostawcy usług związanych z NIS2 musi fizycznie przebywać w Polsce.

Nie wyklucza to jednak szczególnych wymagań wynikających z przepisów sektorowych, umów lub specyfiki określonych systemów.

12. ISO 27001, NIST i inne normy: czy są obowiązkowe?

Zapewne znasz normę ISO/IEC 27001.

To międzynarodowa norma określająca wymagania dla systemu zarządzania bezpieczeństwem informacji.

Przydatne są też inne ramy:

Kluczowe pytanie brzmi:

Czy do spełnienia wymagań NIS2 potrzebny jest certyfikat ISO 27001?

Samo objęcie ustawą o KSC nie rodzi ogólnego obowiązku uzyskania takiego certyfikatu.

Oparcie się na ISO 27001 jako ramach zarządzania może jednak znacznie ułatwić uporządkowanie i udokumentowanie projektu.

Ministerstwo Cyfryzacji opublikowało 10 września 2026 r. zaktualizowany wykaz norm referencyjnych, który ma pomóc we wdrożeniu SZBI. Wyraźnie zaznaczyło, że wykaz ma charakter pomocniczy i nie czyni automatycznie każdej z wymienionych norm obowiązkiem prawnym.

A dostawcy usług technologicznych?

Tu pojawia się dodatkowy wymóg.

Rozporządzenie wykonawcze Komisji (UE) 2024/2690 określa szczegółowe wymagania techniczne i metodyczne m.in. dla dostawców usług przetwarzania w chmurze, centrów danych, usług DNS, usług zarządzanych oraz usług zarządzanych w zakresie bezpieczeństwa.

Polska ustawa wprost odsyła do tego rozporządzenia w odniesieniu do tych kategorii.

Dlatego nie wystarczy przekazać wszystkim klientom identycznego pakietu dokumentów NIS2.

Zakład przemysłowy i dostawca usług zarządzanych mogą potrzebować innych zabezpieczeń i innych kryteriów oceny.

13. Wykrywanie i zgłaszanie incydentów

Kolejnym fundamentalnym elementem jest obowiązek wykrywania i zgłaszania określonych incydentów poważnych.

Przepisy przewidują kilka etapów.

Ogólna ścieżka zgłaszania incydentu poważnego

Zgodnie z ustawą o KSC wczesne ostrzeżenie i zgłoszenie liczy się od momentu wykrycia incydentu, a sprawozdanie końcowe – od dnia zgłoszenia. Szczególne zasady dotyczą niektórych dostawców (np. dostawca usług zaufania zgłasza incydent poważny w ciągu 24 godzin) i podmiotów publicznych.

W praktyce w Polsce służy do tego system S46 (S46 Cyber Hub), za pośrednictwem którego zgłasza się incydenty do właściwych zespołów CSIRT i śledzi ich obsługę.

Nie każdy alert bezpieczeństwa jest automatycznie incydentem poważnym podlegającym zgłoszeniu. Trzeba zastosować kryteria ustawowe i odpowiednie progi sektorowe.

Dlaczego to ważne dla dyrektora ds. technologii?

Bo sama procedura zgłaszania nie wystarczy.

Potrzebne są zdolności, które pozwolą:

Wykryć, że dzieje się coś nietypowego, szybko ocenić wagę zdarzenia, zabezpieczyć dowody, uruchomić właściwe osoby i przekazać sprawdzone informacje.

Jeśli firma nie monitoruje swoich systemów, może odkryć atak dopiero wtedy, gdy na właściwą reakcję będzie już za późno.

14. Jak wygląda prawdziwy projekt wdrożeniowy?

Dobrze zaplanowany projekt można podzielić na pięć etapów.

Ile to może potrwać?

To zależy od złożoności.

Orientacyjnie – na potrzeby planowania, a nie jako gwarantowany termin prawny – organizacja z prostą infrastrukturą może przeprowadzić projekt początkowy w ciągu kilku miesięcy.

Podmiot z wieloma systemami starszej generacji, instalacjami przemysłowymi, licznymi dostawcami i zależnościami międzynarodowymi będzie zapewne potrzebował więcej czasu.

Harmonogram wykonawczy powinien określać osoby odpowiedzialne, zależności, budżet i kryteria odbioru.

Ogólny termin 3 kwietnia 2027 r. sprawia, że podmioty objęte przepisami, które jeszcze nie zaczęły, powinny w pierwszej kolejności zająć się zabezpieczeniami o najwyższym ryzyku i zaległymi obowiązkami.

C. NIS2 z perspektywy prawnej

15. Dlaczego NIS2 powinna interesować dział prawny?

Bo NIS2 nie ogranicza się do technologii.

Zmienia także sposób, w jaki firmy muszą zarządzać odpowiedzialnością, umowami, nadzorem i zdarzeniami, które mogą mieć skutki prawne.

Z perspektywy prawnika korporacyjnego NIS2 stawia zasadnicze pytanie:

Czy organizacja potrafi wykazać, że osoby nią kierujące podejmowały rozsądne decyzje w celu ochrony usług, za które odpowiadają?

Oznacza to, że zgodność musi być poparta faktami i dokumentacją.

16. Odpowiedzialność kierownictwa

Jednym z najważniejszych elementów polskiej nowelizacji jest odpowiedzialność kierownictwa.

Kierownik podmiotu objętego przepisami musi uczestniczyć w przygotowaniu, wdrożeniu i nadzorowaniu zarządzania bezpieczeństwem.

Art. 8d ustawy o KSC obejmuje obowiązki dotyczące podejmowania decyzji, przypisania odpowiedzialności, zapewnienia środków finansowych i sprawowania nadzoru.

Z kolei art. 8e przewiduje coroczne, udokumentowane szkolenia dla kierownictwa oraz osób, którym powierzono określone obowiązki z zakresu cyberbezpieczeństwa.

Jest jeszcze jedna szczególnie ważna kwestia:

Samo zlecenie zadań zewnętrznemu dostawcy nie zwalnia kierownictwa z odpowiedzialności.

Co to oznacza w ujęciu prawnym?

Wyobraź sobie, że firma zleca dostawcy zarządzanie bezpieczeństwem swoich serwerów.

Dostawca popełnia błąd i dochodzi do poważnego incydentu.

Firma może mieć wobec dostawcy roszczenia umowne, jeśli są uzasadnione, ale nie wykaże spełnienia obowiązków regulacyjnych, pokazując jedynie fakturę za usługę.

Musi udowodnić, że właściwie wybrała dostawcę, określiła zakres odpowiedzialności, wprowadziła mechanizmy nadzoru i zarządzała odpowiednimi ryzykami.

Dlatego dział prawny powinien współpracować z zarządem i działem IT.

17. Umowy z dostawcami: obszar krytyczny

Dostawcy technologii mogą być źródłem istotnych ryzyk dla organizacji.

Dotyczy to dostawców hostingu, platform SaaS, operatorów usług chmurowych, firm wsparcia technicznego, administratorów sieci i programistów, którzy mają dostęp do krytycznych systemów.

Z prawnego punktu widzenia warto sprawdzić, czy umowy regulują takie kwestie jak:

Nie istnieje jedna klauzula, która automatycznie czyni umowę zgodną z NIS2.

Zobowiązania trzeba dopasować do usługi, ryzyk i obowiązujących przepisów.

Przykład

Polska firma korzysta z platformy do przechowywania danych zarządzanej z innego kraju.

Jej systemy są bezpieczne i działają prawidłowo.

W umowie nigdy jednak nie określono, w jakim czasie dostawca musi powiadomić o incydencie.

Jeśli dojdzie do ataku, firma może stracić wiele godzin, czekając na informacje.

Takie opóźnienie może utrudnić dotrzymanie jej własnych terminów regulacyjnych.

Rzetelny przegląd umów ogranicza to ryzyko.

18. Jak NIS2 ma się do RODO?

Te dwie regulacje trzeba od siebie odróżnić.

RODO, czyli ogólne rozporządzenie o ochronie danych (GDPR), dotyczy przetwarzania i ochrony danych osobowych.

NIS2 dotyczy cyberbezpieczeństwa i odporności systemów oraz usług podmiotów objętych przepisami.

Obszary te mogą się pokrywać, ale nie są tożsame.

Ransomware może na przykład zatrzymać działalność firmy, nie powodując przy tym naruszenia poufności danych osobowych.

I odwrotnie: ograniczony wyciek danych może wymagać oceny na gruncie RODO, choć nie osiąga progu incydentu poważnego w rozumieniu NIS2.

Procesy zgłaszania trzeba więc koordynować, ale nie wolno ich mylić.

19. Kary: co grozi za brak zgodności?

Ustawa o KSC przewiduje wysokie kary pieniężne.

Ustawa przewiduje też minimalne kary za niektóre naruszenia: 20 000 zł dla podmiotów kluczowych i 15 000 zł dla podmiotów ważnych.

Kwoty te są ustawowymi limitami, a nie karami nakładanymi automatycznie. Ich zastosowanie zależy od zachowania podmiotu, okoliczności, przebiegu postępowania i konkretnych przepisów.

Czy kary można nakładać już teraz?

Art. 35 nowelizacji stanowi, że kary pieniężne przewidziane w określonych przepisach będzie można nałożyć po raz pierwszy po upływie dwóch lat od wejścia ustawy w życie, czyli od kwietnia 2028 r. Przepis ten nie wymienia kary do 100 mln zł z art. 73 ust. 5 ustawy o KSC.

Nie oznacza to jednak, że wcześniejsze terminy można zignorować.

Obowiązek rejestracji już istnieje, wdrożenie ma własny harmonogram, a organy dysponują mechanizmami nadzoru, które trzeba brać pod uwagę niezależnie od momentu, od którego stosuje się kary pieniężne.

20. Co prawnik może wnieść do wdrożenia?

Zespół prawny może uczestniczyć w projekcie od początku, a nie dopiero wtedy, gdy dojdzie do incydentu.

Jego najważniejsze zadania to ustalenie zakresu obowiązków prawnych firmy, przegląd umów, opracowanie procedur komunikacji, podział odpowiedzialności, spójność z ochroną danych osobowych i weryfikacja obowiązków w zakresie przechowywania dokumentacji.

Może też sprawdzić zgodność z prawem procesów kadrowych.

Ustawa o KSC wprowadza na przykład szczególne wymogi weryfikacji niekaralności osób pełniących określone funkcje w zarządzaniu bezpieczeństwem i obsłudze incydentów.

Nie oznacza to, że należy wymagać zaświadczenia o niekaralności od wszystkich pracowników. Trzeba stosować zakres przewidziany w przepisach i chronić przetwarzane dane.

Najważniejsza korzyść prawna

Wdrożenie tworzy strukturę należytej staranności, którą da się zweryfikować.

Organizacja, która potrafi przedstawić zatwierdzone decyzje, ocenione ryzyka, przejrzane umowy, stosowane procedury i udokumentowane działania naprawcze, jest w lepszej sytuacji podczas kontroli i sporów.

Nie wyklucza to odpowiedzialności, ale stanowi istotny dowód rzetelnego zarządzania.

D. NIS2 z perspektywy księgowości i finansów

21. Co księgowy ma wspólnego z cyberbezpieczeństwem?

Więcej, niż mogłoby się wydawać.

NIS2 nie czyni z każdego biura rachunkowego podmiotu objętego przepisami, ale księgowość i finanse coraz bardziej zależą od systemów cyfrowych.

Weźmy firmę, która korzysta z:

• E-fakturowania.
• Systemów ERP.
• Bankowości elektronicznej.
• Systemów kadrowo-płacowych.
• Elektronicznego archiwum dokumentów podatkowych.
• Oprogramowania księgowego.
• Integracji z systemami dostawców.

Przestój tych usług może utrudnić pobieranie należności, realizację płatności, składanie deklaracji i przechowywanie dokumentacji.

Dlatego dział księgowy powinien uczestniczyć w zarządzaniu ryzykami, które dotyczą tych procesów.

22. Bezpośrednie korzyści dla księgowości

Ochrona dokumentów finansowych

Kontrola dostępu, kopie zapasowe i procedury odtwarzania pomagają chronić faktury, umowy, dokumenty podatkowe i księgi rachunkowe.

Zmniejsza to ryzyko utraty danych lub ich nieuprawnionej modyfikacji.

Ciągłość procesów finansowych

Firma może określić procedury działania na czas przestoju.

Jeśli na przykład system księgowy będzie chwilowo niedostępny, warto mieć opisane, jak rejestrować zaległe operacje i jak je uzgodnić po przywróceniu systemu.

Mniejsze ryzyko nadużyć

Kontrola tożsamości, rozdzielenie obowiązków i rejestrowanie aktywności pomagają wykrywać nieautoryzowane operacje finansowe lub im zapobiegać.

Wyobraź sobie, że atakujący przejmuje skrzynkę pocztową dostawcy i próbuje zmienić numer rachunku bankowego, na który trafiają płatności.

Procedura, która wymaga potwierdzenia takiej zmiany niezależnym kanałem, może znacząco ograniczyć to ryzyko.

Lepsza audytowalność

Aktualna dokumentacja, wskazane osoby odpowiedzialne i rejestry aktywności ułatwiają przegląd niektórych mechanizmów kontroli wewnętrznej.

Nie zastępuje to badania sprawozdania finansowego ani nie gwarantuje jego rzetelności, ale może wzmocnić środowisko kontroli.

23. Jaką rolę w projekcie NIS2 odgrywa dział finansowy?

Polskie przepisy wprost stanowią, że kierownictwo musi zaplanować odpowiednie środki finansowe na realizację obowiązków w zakresie cyberbezpieczeństwa.

Dobrze prowadzone wdrożenie wymaga więc współpracy działów IT i finansów.

Warto rozróżnić następujące pozycje budżetowe:

Faktyczna kwalifikacja bilansowa i podatkowa zależy od obowiązujących przepisów, charakteru każdego zakupu i warunków umowy. NIS2 sama w sobie nie przesądza, jak ujmować te wydatki w księgach.

Jak ocenić projekt pod względem finansowym?

Można posłużyć się analizą kosztów i ryzyk.

Na przykład:

Firma szacuje, że poważny przestój mógłby spowodować utratę sprzedaży, koszty odtworzenia systemów, nadgodziny i kary umowne.

Zespół techniczny proponuje zabezpieczenia, które zmniejszą prawdopodobieństwo takiego scenariusza lub skrócą jego trwanie.

Dział finansów porównuje koszt tych środków z szacowanymi skutkami i pomaga ustalić priorytety inwestycji.

Nie oznacza to, że da się z matematyczną precyzją obliczyć, ile zaoszczędzi każde zabezpieczenie.

Oznacza to, że decyzje budżetowe będą lepiej uzasadnione.

A zewnętrzne biura rachunkowe?

Biuro rachunkowe, które nie podlega bezpośrednio NIS2, może pośrednio na niej skorzystać, jeśli obsługuje klientów objętych przepisami.

Tacy klienci mogą oczekiwać dodatkowych gwarancji dotyczących przetwarzania informacji, kontroli dostępu, ciągłości działania, obsługi incydentów i bezpieczeństwa świadczonych usług.

To szansa na podniesienie jakości usług, ale też źródło nowych wymagań umownych.

24. Jak NIS2 ma się do KSeF, czyli Krajowego Systemu e-Faktur?

W Polsce trzeba odróżnić dwa odrębne projekty regulacyjne.

KSeF (Krajowy System e-Faktur) dotyczy wystawiania i odbierania faktur ustrukturyzowanych.

NIS2 i ustawa o KSC nakładają obowiązki w zakresie cyberbezpieczeństwa na podmioty objęte ich zakresem.

Firma może mieć obowiązek korzystania z KSeF, nie podlegając bezpośrednio NIS2.

Podobnie podmiot objęty NIS2 może korzystać z KSeF jako jednego ze swoich systemów biznesowych.

Z perspektywy technicznej i księgowej istnieją jednak ważne punkty styku.

Jeśli działalność firmy zależy od integracji z KSeF, warto ocenić bezpieczeństwo danych uwierzytelniających, dostępność tej integracji, ochronę rejestrów i procedury na wypadek awarii.

Samo korzystanie z KSeF lub dostarczanie integracji z KSeF nie czyni jednak firmy automatycznie podmiotem objętym NIS2.

Klasyfikacja zależy od rodzaju działalności i kryteriów określonych w ustawie o KSC.

25. Trzy sytuacje biznesowe, które pomagają zrozumieć wdrożenie

Przypadek 1. Średnia firma z branży dystrybucji żywności

Działalność organizacji opiera się na stanach magazynowych, zamówieniach, magazynach i dystrybucji.

Największą obawą jest to, że incydent technologiczny zatrzyma przepływ towarów.

W tym przypadku wdrożenie koncentrowałoby się na ochronie procesów operacyjnych, udokumentowaniu zależności, zarządzaniu dostawcami technologii i przygotowaniu mechanizmów ciągłości działania.

Z perspektywy prawnej ważny byłby przegląd odpowiedzialności dostawców i zasad zgłaszania incydentów.

Z perspektywy finansowej najważniejsze byłoby ograniczenie strat spowodowanych przestojami.

Klasyfikację prawną trzeba zweryfikować na podstawie konkretnej działalności i kryteriów ustawy o KSC.

Przypadek 2. Dostawca hostingu i usług zarządzanych

Firma administruje serwerami i stronami internetowymi klientów.

Szczególnie ważne może być tu zbadanie, czy kwalifikuje się jako dostawca usług zarządzanych, podmiot infrastruktury cyfrowej lub inna właściwa kategoria.

Jej infrastruktura wymaga kontroli dostępu, zarządzania podatnościami, ciągłości działania, monitorowania i procedur reagowania.

Ponadto klienci mogą oczekiwać od niej dowodów, które pomogą im wykazać spełnienie ich własnych obowiązków wynikających z NIS2.

Umowa o świadczenie usług staje się kluczowym elementem zarządzania ryzykiem.

W przypadku niektórych kategorii usług technologicznych bezpośrednie znaczenie ma także rozporządzenie wykonawcze Komisji (UE) 2024/2690.

Przypadek 3. Małe biuro rachunkowe

Firma przetwarza dane finansowe wielu klientów.

Ze względu na zwykły profil działalności i wielkość może nie podlegać bezpośrednio ustawie o KSC – trzeba to jednak przeanalizować, a nie zakładać.

Mimo to może otrzymywać ankiety bezpieczeństwa od klientów objętych regulacją.

Wdrażając uwierzytelnianie wieloskładnikowe, przetestowane kopie zapasowe, procedury nadawania dostępu i zasady postępowania z informacjami, podnosi poziom bezpieczeństwa i może pewniej odpowiadać na takie wymagania kontrahentów.

W tym przykładzie główną korzyścią ze stosowania dobrych praktyk NIS2 są względy umowne i operacyjne, a niekoniecznie realizacja bezpośredniego obowiązku prawnego.

26. Najczęściej zadawane pytania

Czy NIS2 oznacza, że muszę zatrudnić firmę zajmującą się cyberbezpieczeństwem?

Niekoniecznie. Organizacja może łączyć zasoby wewnętrzne i zewnętrzne w zależności od zakresu zadań, swoich obowiązków i możliwości.

Najważniejsze, by odpowiedzialność była jasno przypisana, a zabezpieczenia skuteczne.

Czy wystarczą antywirus i firewall?

Nie. Mogą być częścią zabezpieczeń, ale zarządzanie ryzykiem, ciągłość działania, dokumentacja, nadzór i obsługa incydentów wymagają dodatkowych środków.

Czy muszę zatrudnić CISO?

Przepisy wymagają przypisania odpowiedzialności i zapewnienia kompetencji w zakresie zarządzania, ale nie nakładają na wszystkie podmioty ogólnego obowiązku utworzenia stanowiska o nazwie CISO.

Przyjęta struktura musi realizować wymagane funkcje.

Ile osób do kontaktu trzeba wyznaczyć?

Co do zasady polskie przepisy wymagają wyznaczenia co najmniej dwóch osób do kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa. Wyjątki dotyczą niektórych mikro- i małych przedsiębiorstw oraz podmiotów publicznych będących podmiotami ważnymi – tam może wystarczyć jedna osoba.

Czy potrzebne są audyty zewnętrzne?

Podmioty kluczowe co do zasady podlegają audytowi przeprowadzanemu co najmniej raz na trzy lata.

Dla nowych podmiotów kluczowych objętych przepisami przejściowymi pierwszy ogólny termin upływa 3 kwietnia 2028 r.

Podmioty ważne nie mają automatycznie takiego okresowego obowiązku, choć właściwy organ może w określonych okolicznościach zarządzić audyt.

Audyt ustawowy wymaga spełnienia warunków niezależności i posiadania odpowiednich kwalifikacji – co do zasady nie może go przeprowadzić ta sama osoba, która wdrożyła zabezpieczenia i nimi zarządza.

Czy muszę korzystać z narzędzi wyprodukowanych w Europie?

NIS2 nie zawiera ogólnej zasady, zgodnie z którą wszystkie narzędzia lub serwery muszą pochodzić od europejskich producentów.

Trzeba jednak uwzględnić szczególne obowiązki dotyczące dostawców, transferów danych, ryzyk w łańcuchu dostaw i ograniczeń sektorowych.

Czy mogę korzystać z serwerów poza Polską?

Co do zasady tak – w zależności od sektora, usługi, rodzaju danych i obowiązujących przepisów.

Trzeba jednak ocenić ryzyka prawne, operacyjne i umowne oraz poziom kontroli, jaki zachowujesz nad dostawcami.

Czy NIS2 zastępuje RODO?

Nie. Obie regulacje mogą obowiązywać jednocześnie.

Czy NIS2 zastępuje DORA?

Nie do końca. Dla niektórych podmiotów finansowych rozporządzenie DORA jest szczególną regulacją sektorową, która wyłącza część ogólnych obowiązków wynikających z NIS2.

DORA stosuje się od 17 stycznia 2025 r. Polska ustawa o KSC wprost określa zasady koordynacji dla sektora bankowego i infrastruktury rynków finansowych.

Czy mogę uzyskać certyfikat potwierdzający, że moja firma spełnia wymagania NIS2?

Możesz uzyskać określone certyfikaty bezpieczeństwa i poddać się niezależnym ocenom.

Nie należy jednak mylić prywatnej certyfikacji, certyfikatu ISO 27001 i audytu wymaganego przez ustawę o KSC.

Żadna ogólna deklaracja marketingowa o „certyfikacji NIS2” nie zastępuje automatycznie Twoich obowiązków prawnych.

27. Zalecany plan działania dla firmy w Polsce

Jeśli zaczynasz projekt dziś od zera, rozsądna mapa drogowa mogłaby wyglądać tak.

Priorytety mają charakter orientacyjny. Trzeba je dopasować do obecnej sytuacji organizacji i obowiązujących terminów prawnych.

28. Jak sprawdzić, czy organizacja jest przygotowana?

Postępy najlepiej oceniać po rezultatach, a nie po liczbie dokumentów.

Rozsądnie przygotowana organizacja powinna móc odpowiedzieć twierdząco – i poprzeć to dowodami – na pytania takie jak:

• Czy znasz swoją klasyfikację i obowiązki prawne, które z niej wynikają?
• Czy zidentyfikowano kluczowe usługi, systemy i dostawców?
• Czy istnieje udokumentowane szacowanie ryzyka?
• Czy kierownictwo zatwierdziło podział odpowiedzialności i zasoby?
• Czy potrafisz wykazać, że zabezpieczenia działają?
• Czy kopie zapasowe i plany odtwarzania zostały przetestowane?
• Czy wiadomo, kto działa i kto zgłasza incydent, gdy do niego dojdzie?
• Czy potrafisz wykazać przeprowadzone szkolenia, przeglądy i działania naprawcze?
• Czy odpowiedzialność dostawców jest udokumentowana?
• Czy istnieje mechanizm stałego nadzoru nad zgodnością?

Te pytania nie zastępują audytu ustawowego, ale pozwalają ocenić wyjściowy poziom dojrzałości organizacji.

29. Kto w firmie zyskuje najwięcej na NIS2?

Każda z osób odpowiedzialnych zyskuje coś innego.

Wdrożenie jest najskuteczniejsze, gdy te działy pracują wspólnie, a nie jako odrębne inicjatywy.

30. Ramy prawne i oficjalne źródła

Oto najważniejsze źródła, które pomogą w dalszym wdrożeniu.

Ministerstwo Cyfryzacji udostępnia też materiały do samoidentyfikacji, poradniki dotyczące rejestracji i normy referencyjne do projektowania SZBI. Przed zamknięciem projektu warto sprawdzić aktualną wersję aktów wykonawczych właściwych dla danego sektora.

31. Podsumowanie: wdrożenie NIS2 to zmiana sposobu zarządzania ryzykiem w firmie

NIS2 oznacza istotną zmianę w podejściu organizacji do cyberbezpieczeństwa.

Nie wystarczy już założenie, że bezpieczeństwo to aktualny sprzęt i kilka zainstalowanych narzędzi.

Firma musi rozumieć ryzyka związane ze swoimi usługami, przypisać odpowiedzialność, wdrożyć zabezpieczenia, przygotować się na zakłócenia i wykazać, że te środki działają.

Z perspektywy biznesowej to szansa na ochronę działalności i wzmocnienie zaufania kontrahentów.

Z perspektywy technologicznej to impuls do budowy infrastruktury lepiej kontrolowanej, udokumentowanej i odpornej.

Z perspektywy prawnej to wymóg bardziej rygorystycznego zarządzania odpowiedzialnością, umowami i dowodami.

Z perspektywy księgowej to możliwość powiązania inwestycji w bezpieczeństwo z ochroną aktywów, ciągłością finansową i ograniczaniem strat.

Różnica między formalną zgodnością a rzeczywistą gotowością jest istotna: organizacja może mieć setki stron polityk i nadal być podatna na ataki, jeśli jej zabezpieczenia nie działają.

Dlatego właściwe wdrożenie NIS2 musi łączyć zgodność z prawem, zarządzanie biznesem, bezpieczeństwo technologiczne i stały nadzór.

W Polsce, gdzie znowelizowana ustawa o KSC już obowiązuje, priorytetem dla podmiotu, który może podlegać przepisom, jest prawidłowe ustalenie klasyfikacji, weryfikacja statusu wpisu do wykazu i przeprowadzenie projektu dostosowawczego przed upływem właściwych terminów.

Celem nie powinno być wyłącznie uniknięcie kar, ale zbudowanie organizacji, która potrafi świadczyć usługi nawet wtedy, gdy dojdzie do incydentu cyberbezpieczeństwa.